Hokker ASA-regel sjocht it ferkear neidat de VPN it ûntsifere hat

De earste oanname dy't jo falle litte moatte, is dat de krypto-ACL in tagongsbelied is. Dat is er net. Op in Cisco ASA beantwurdet dy list ien smelle fraach: hokker pakketten fertsjinje beskerming, en dat antwurd seit neat oer de fraach oft it ûntsifere pakket de server efter de firewall berikke mei. Tagong wurdt letter besletten, troch in ynterfacebelied, troch in groepsbeliedfilter of troch beide, ôfhinklik fan hoe't de tunnel boud is.

De krypto-ACL beantwurdet in oare fraach

In krypto-ACL is in oerienkomstlist. Hy fertelt de tunnel wat tusken twa pearen fersifere moat wurde; in pakket dat der net mei oerienkomt, is gewoan net beskerme. It ferbreedzjen feroaret de omfang fan beskerming en fierder neat.

Dêrom kin it tafoegjen fan in subnet dêr in tunnel omheech bringe wylst de eigentlike applikaasje noch altyd mislearret. De tunnel is omheech om't der no in oerienkomst is. De applikaasje mislearret noch altyd om't neat yn dy list eat tastiet. Twa ferskillende fragen, beantwurde troch twa ferskillende listen.

Wat de omgongsynstelling wier oerslacht

sysopt connection permit-vpn lit beskerme ferkear de ACL-kontrôle fan 'e ynterface oerslaan dy't oars oan 'e yngeande kant jilde soe. It is in gemak foar VPN-ymplemintaasjes, en it is globaal. It rekket it groepsbelied net oan en it rekket in autorisaasjefilter per brûker net oan.

Lês de werklike wearde ynstee fan 'e oanname: show running-config all sysopt printsje de ynstelling sels as dy nea eksplisyt konfigurearre is, en dêr begjint in protte betizing.

Om't de ynstelling globaal is, is it testen as in fluch eksperimint op ien defekt subnet in minne ruil. Elke oare tunnel op dy firewall dielt it resultaat. Bewarje it foar in bewuste feroaring mei in weromsetplan.

Lês it filter yn 'e ûntsiferingsrjochting

In LAN-to-LAN vpn-filter wurdt skreaun fanút it eachpunt fan 'e tunnel, net fan 'e ynterface. It fiere netwurk giet yn 'e boarneposysje en it lokale netwurk yn 'e bestimmingsposysje, om't it pakket der nei ûntsifering sa útsjocht. Deselde filter wurdt dan foar fersifering wer yn 'e tsjinoerstelde rjochting beoardiele, mei de adresrollen omkeard.

Poartebetingsten fertsjinje mear soarch as in kopiearre ynterface-ACL krekt om dy reden. In regel dy't ien bestimmingspoarte tastiet, kin yn 'e tsjinoerstelde rjochting in ûnbedoelde útwurking hawwe, wêr't in nije ferbining dy poarte as boarne brûkt. Skriuw op hokker kant begjinne mei, de werklike tsjinst en de tsjinoanpartij dy't ticht bliuwe moat foardat jo de list bouwe.

Befêstigje hokker filter wier taheakke is: show running-config group-policy en show vpn-sessiondb detail l2l fertelle tegearre wat de sesje urven hat. It bewurkjen fan in ACL dêr't gjin belied nei ferwiist, feroaret neat.

Brûk net ien ACL-objekt foar twa taken

In ynterface-access-group en in vpn-filter lykje itselde soarte objekt en wurde op ferskillende punten beoardiele mei ferskillende adresoriïntaasjes. Ien list oan beide tawize noeget in feroaring út dy't de tunnel reparearret en de fysike ynterface stil fersoepet.

Hâld se apart, neam se nei har taak en lit it ferskil yn rjochting sichtber wêze yn 'e nammen.

Ferifiearje mei nije ferbiningen, yn beide rjochtingen

Iepenje nei in plande feroaring ien nije ferbining dy't tastien wurde moat en ien nije ferbining dy't wegere wurde moat, en hâld dan de adressen, de rjochting en de beliedoerienkomst by it resultaat. In fêstige sesje bewiist neat oer it filterjen fan nije ferbiningen, om't se al ûnder de âlde regels talitten waard.

Rekkenje ek mei ynspeksje. De dokumintaasje fan 'e leveransier merkt op dat in VPN-filter de earste ferbining kontrolearret en net elke sekundêre ferbining dy't in ynspeksjemotor iepenet, sadat in kontrôlekanaal en syn byhearrende mediaflow in oare behanneling krije kinne. As de applikaasje it protokol ken, test dan de werklike flow ynstee fan ien poarteprobe.

In tunnel dy't nei in brede omgong brûkber wurdt, fertelt dat de beheining fuorthelle is, net dat se foldien is. It resultaat dat it wurdich is om te hâlden is in neamd hanthaveningspunt dêr't jo by de folgjende resinsje nei wize kinne.